ATTACCHI · RANSOMWARE CON FERMO OPERATIVO
CNA Financial, marzo 2021: il falso aggiornamento del browser e il riscatto da 40 milioni
Il 5 marzo 2021 un dipendente di CNA, una delle maggiori compagnie assicurative statunitensi, ha installato un falso aggiornamento del browser; il 21 marzo il ransomware ha cifrato almeno 15.000 dispositivi. Secondo Bloomberg CNA ha pagato 40 milioni di dollari, uno dei riscatti più alti conosciuti.
- Vittima
- CNA Financial
- Settore
- Assicurazioni
- Paese
- Stati Uniti
- Data
- 5 marzo 2021
- Categoria
- Ransomware con fermo operativo
- Causa
- Non nota
- Attore
- Criminale (sospettato). Ransomware Phoenix CryptoLocker, ritenuto legato al gruppo criminale Evil Corp secondo i ricercatori
- Scenari di danno
- Business interruption propria · Ripristino di dati e sistemi · Estorsione · Notifica e responsabilità privacy
Le cause in breve
- Accesso iniziale. Un dipendente ha scaricato ed eseguito un falso aggiornamento del browser da un sito legittimo (Malwarebytes).
- Estensione. Dal 5 al 20 marzo gli attaccanti hanno esplorato la rete con strumenti e credenziali legittimi, ottenendo privilegi più alti, poi il 21 marzo hanno lanciato il ransomware (Malwarebytes).
- Controllo mancato. Il blocco dei programmi scaricati dagli utenti e la sorveglianza dei movimenti interni con credenziali valide: due settimane di ricognizione non sono state notate.
L'impatto
- Almeno 15.000 sistemi cifrati, compresi i portatili collegati in VPN (Malwarebytes).
- Dati di 75.349 persone sottratti prima della cifratura, soprattutto dipendenti e loro familiari, con numeri di previdenza sociale (BleepingComputer).
- Riscatto di 40 milioni di dollari pagato a fine marzo, secondo Bloomberg (Bloomberg).
- Costo complessivo dell'incidente: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e gestione delle notifiche rispondono.
- Ripristino di dati e sistemiRispondeLa ricostruzione di migliaia di sistemi cifrati rientra nel ripristino.
- Business interruption propriaRispondeCon 15.000 sistemi cifrati il fermo supera il periodo di attesa; durata e fatturato perso non sono stati pubblicati.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è dell'assicurato stesso, non di un suo fornitore.
- EstorsioneDipende dal wordingRisponde per il riscatto pagato con il consenso dell'assicuratore, ma un gruppo legato a Evil Corp, sanzionato dal Tesoro statunitense, può rendere il pagamento non rimborsabile.
- Notifica e responsabilità privacyRispondeIl furto di dati di 75.000 persone attiva notifiche e assistenza agli interessati.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRispondeRisponde alle richieste degli interessati per i dati sottratti.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Sanzioni. Il Tesoro statunitense ha sanzionato Evil Corp nel 2019: un riscatto pagato a un gruppo collegato espone alla violazione delle sanzioni, e l'assicuratore non può rimborsarlo.
- Limite dell'estorsione. Un riscatto di 40 milioni supera di molto i sottolimiti tipici della garanzia estorsione.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Il riscatto da solo supera i sottolimiti tipici, e la vittima è un assicuratore cyber: il caso ha spinto il mercato a rivedere le condizioni sull'estorsione.
Nessun segnale di cumulo.